Decizie nr. 512 din 1 august 2013

În temeiul prevederilor art. 3 lit. d), art. 10 alin. (1) pct. 1, art. 11 alin. (1) și art. 12 alin. (1) și (3) din Ordonanța de urgență a Guvernului nr. 22/2009 privind înființarea Autorității Naționale pentru Administrare și Reglementare în Comunicații, aprobată prin Legea nr. 113/2010, cu modificările și completările ulterioare, precum și ale art. 46-48 din Ordonanța de urgență a Guvernului nr. 111/2011 privind comunicațiile electronice, aprobată cu modificări și completări prin Legea nr. 140/2012,

președintele Autorității Naționale pentru Administrare și Reglementare în Comunicații emite prezenta decizie.

Articolul 1

Abrogat.

09.02.2024Articolul 1 a fost abrogat de Alineatul (2), Articolul 11 din DECIZIA nr. 70 din 1 februarie 2024, publicată în MONITORUL OFICIAL nr. 117 din 9 februarie 2024

Articolul 2

Abrogat.

09.02.2024Articolul 2 a fost abrogat de Alineatul (2), Articolul 11 din DECIZIA nr. 70 din 1 februarie 2024, publicată în MONITORUL OFICIAL nr. 117 din 9 februarie 2024

Articolul 3

(1)Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația de a lua toate măsurile de securitate adecvate pentru a administra riscurile la adresa securității rețelelor și serviciilor de comunicații electronice, astfel încât să asigure un nivel de securitate corespunzător riscului identificat și să prevină sau să minimizeze impactul incidentelor de securitate asupra utilizatorilor și rețelelor interconectate, având în vedere cele mai noi tehnologii și, acolo unde este cazul, de a colabora cu alți furnizori pentru implementarea acestor măsuri.

(2)Abrogat.

09.02.2024Alineatul (2), Articolul 3 a fost abrogat de Alineatul (2), Articolul 11 din DECIZIA nr. 70 din 1 februarie 2024, publicată în MONITORUL OFICIAL nr. 117 din 9 februarie 2024

(3)Măsurile minime de securitate pe care trebuie să le stabilească și să le implementeze furnizorii, astfel încât să îndeplinească obligația prevăzută la alin. (1) și, după caz, cea prevăzută la alin. (2), vor viza cel puțin domeniile identificate în anexa nr. 1.

(4)Furnizorii au obligația de a evalua și, dacă este cazul, de a actualiza măsurile prevăzute la alin. (3) ori de câte ori este necesar, însă cel puțin o dată la 12 luni.

Articolul 4

Abrogat.

09.02.2024Articolul 4 a fost abrogat de Alineatul (2), Articolul 11 din DECIZIA nr. 70 din 1 februarie 2024, publicată în MONITORUL OFICIAL nr. 117 din 9 februarie 2024

Articolul 5

Abrogat.

09.02.2024Articolul 5 a fost abrogat de Alineatul (2), Articolul 11 din DECIZIA nr. 70 din 1 februarie 2024, publicată în MONITORUL OFICIAL nr. 117 din 9 februarie 2024

Articolul 6

Abrogat.

09.02.2024Articolul 6 a fost abrogat de Alineatul (2), Articolul 11 din DECIZIA nr. 70 din 1 februarie 2024, publicată în MONITORUL OFICIAL nr. 117 din 9 februarie 2024

Articolul 7

Abrogat.

09.02.2024Articolul 7 a fost abrogat de Alineatul (2), Articolul 11 din DECIZIA nr. 70 din 1 februarie 2024, publicată în MONITORUL OFICIAL nr. 117 din 9 februarie 2024

Articolul 8

Abrogat.

09.02.2024Articolul 8 a fost abrogat de Alineatul (2), Articolul 11 din DECIZIA nr. 70 din 1 februarie 2024, publicată în MONITORUL OFICIAL nr. 117 din 9 februarie 2024

Anexa nr. 1

Domeniile vizate de măsurile minime de securitateI. Politica de securitate și managementul riscului

Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația:

1.să stabilească o politică de securitate adecvată;

2.să stabilească un management al riscului care:

a)să stabilească domeniul de aplicare, precum și criteriile de bază necesare procesului de management al riscului (criteriul de evaluare a riscului, criteriul de stabilire a impactului, criteriul de acceptare a riscului);

b)să identifice riscurile, prin identificarea resurselor furnizorului în cauză, amenințărilor, vulnerabilităților, măsurilor existente și a consecințelor pe care pierderea/încălcarea securității le-ar putea avea asupra resurselor;

c)să estimeze riscurile prin evaluarea impactului pe care îl poate avea concretizarea unei amenințări care exploatează o vulnerabilitate a unei resurse și prin evaluarea probabilității de apariție a incidentelor;

d)să evalueze riscul;

e)să evalueze opțiunile de tratare a riscului, să selecteze măsuri pentru tratarea riscului cu fixarea obiectivelor acestor măsuri și să justifice riscurile acceptate care nu îndeplinesc criteriul de acceptare a riscului;

3.să stabilească o structură adecvată a rolurilor și responsabilităților în asigurarea securității și integrității rețelelor și serviciilor;

4.să stabilească o politică cu privire la cerințele de securitate pentru achiziționarea de produse și servicii de la terțe părți și pentru asigurarea întreținerii sau gestiunii de către terțe părți a produselor și serviciilor (servicii IT, software, interconectare, baze de date, facilități asociate etc.).

II. Securitatea resurselor umane

Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația:

1.să efectueze controale de verificare de fond a candidaților pentru angajare, a contractorilor și a terților în conformitate cu legile aplicabile, reglementări și etică, proporționale cu riscurile percepute;

2.să se asigure că personalul lor are cunoștințe suficiente de securitate și este instruit permanent cu privire la securitatea și integritatea rețelelor și serviciilor;

3.să stabilească un proces corespunzător de gestionare a schimbărilor de personal sau a modificărilor de roluri și responsabilități;

4.să stabilească un proces disciplinar pentru angajații care produc o încălcare a securității și integrității rețelelor sau serviciilor de comunicații electronice.

III. Securitatea și integritatea rețelelor, a facilităților asociate și a informațiilor

Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația:

1.să stabilească o securitate fizică adecvată a rețelei și a infrastructurii asociate (stabilirea și menținerea unor măsuri care să protejeze în mod corespunzător împotriva accesului fizic neautorizat, distrugerilor provocate de incendii, inundații, cutremure, explozii, tulburări publice și alte forme de dezastre naturale sau provocate de oameni);

2.să stabilească o securitate adecvată a utilităților-suport, cum ar fi furnizarea de energie electrică, combustibil sau răcirea echipamentelor;

3.să stabilească măsuri de securitate adecvate pentru accesul (logic) la rețea și la sistemele informatice;

4.să stabilească măsuri de securitate adecvate pentru a asigura protecția rețelelor și serviciilor de comunicații electronice împotriva codurilor cu potențial dăunător, codurilor mobile neautorizate și a atacurilor informatice, inclusiv DoS/DDoS.

IV. Managementul operațiunilor

Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația:

1.să stabilească proceduri operaționale și responsabilități adecvate;

2.să stabilească proceduri privind managementul schimbărilor efectuate în rețeaua de comunicații electronice și în software-urile de aplicații;

3.să stabilească proceduri de gestionare a resurselor astfel încât disponibilitatea și starea acestora să fie verificată.

V. Managementul incidentelor

Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația:

1.să stabilească procese și proceduri pentru managementul incidentelor care afectează securitatea și integritatea rețelelor și serviciilor de comunicații electronice (care să vizeze raportarea internă, evaluarea, răspunsul la incidente și escaladarea acestuia), inclusiv prin definirea rolurilor și responsabilităților;

2.să stabilească un sistem de detectare a incidentelor;

3.să stabilească o procedură adecvată de raportare a incidentelor către Autoritatea Națională pentru Administrare și Reglementare în Comunicații, precum și către alte autorități responsabile, și să stabilească planuri de comunicare a incidentelor către alte părți externe (furnizori de rețele și servicii de comunicații electronice afectați, media, clienți, parteneri de afaceri etc.).

VI. Managementul continuității afacerii

Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația:

1.să stabilească o strategie pentru asigurarea continuității furnizării rețelelor și serviciilor de comunicații electronice în situațiile generate de perturbări grave ale funcționării rețelei sau serviciului;

2.să dețină capabilități de implementare a strategiei de continuitate și să stabilească planuri de continuitate și de recuperare.

VII. Monitorizare, testare și audit

Furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului au obligația:

1.să stabilească politici de monitorizare a sistemelor, precum și politici privind jurnalele de sistem;

2.să stabilească politici pentru testarea, inclusiv prin exerciții, a planurilor de continuitate și de recuperare în cazul perturbărilor grave ale funcționării rețelei sau serviciului;

3.să stabilească politici pentru testarea echipamentelor, sistemelor și software-lor, în special înainte de conectarea/punerea lor în funcțiune;

4.să stabilească o politică adecvată pentru evaluarea și testarea securității tuturor resurselor (echipamente, sisteme și software etc.);

5.să stabilească o politică pentru monitorizarea conformității și pentru audit, cu un proces de raportare a conformității și de rezolvare a deficiențelor constatate în timpul auditului.

Abrogată.

09.02.2024Anexa nr. 2 a fost abrogată de Alineatul (2), Articolul 11 din DECIZIA nr. 70 din 1 februarie 2024, publicată în MONITORUL OFICIAL nr. 117 din 9 februarie 2024

Anexa nr. 3

Abrogată.

09.02.2024Anexa nr. 3 a fost abrogată de Alineatul (2), Articolul 11 din DECIZIA nr. 70 din 1 februarie 2024, publicată în MONITORUL OFICIAL nr. 117 din 9 februarie 2024